Crédit Mutuel Arkéa potwierdza cyberatak, badacz wskazuje na stratę 133 mln USD

Bank potwierdza atak

Crédit Mutuel Arkéa, bank regionalny obsługujący Bretanię i inne części zachodniej Francji w ramach grupy Crédit Mutuel, poinformował w środę 4 listopada 2026 r., że padł ofiarą cyberataku. Włamanie umożliwiło przeprowadzenie nieautoryzowanych transakcji, a bank twierdzi, że sytuacja jest już opanowana. Instytucja nie potwierdziła kwoty strat. Dziennik Le Télégramme oszacował je na 133 mln USD, czyli około 118 mln EUR.

Bank powiadomił francuskie i unijne organy regulacyjne oraz nadzorcze, zapewniając klientów, że incydent nie wiąże się dla nich z żadnymi konsekwencjami finansowymi. W oświadczeniu banku czytamy:

„Ten incydent nie ma dla nich żadnych konsekwencji finansowych.”

Jak wykryto kradzież

Alert pochodzi od ZachXBT, posługującego się pseudonimem amerykańskiego analityka śledzącego transakcje blockchain, którego praca w zakresie bezpieczeństwa kryptowalut i przeciwdziałania praniu pieniędzy jest uznawana na arenie międzynarodowej. W poniedziałek 2 listopada wskazał on na podejrzaną stratę w wysokości 106 mln USD w nieujawnionym podmiocie z Unii Europejskiej. We wtorek 3 listopada poinformował o kolejnych wypłatach przekraczających 27 mln USD i wymienił nazwę banku, którego aktywa wycenił na około 235 mld USD. Szczegóły te przekazał najpierw na swoim koncie w serwisie Telegram, a później powiedział stacji BFM, że łączna kwota może być wyższa, jeśli środki opuściły blockchain.

Analityk stwierdził, że atak trwał kilka dni, a rzeczywiste straty mogą być wyższe, jeśli uwzględni się aktywność poza giełdami. Dodał również, że z dużym prawdopodobieństwem sprawca nie jest powiązany z północnokoreańską grupą Lazarus.

Otwarte pytania o pieniądze

Suma 133 mln USD to szacunki analityka, powtarzane w mediach, których bank nie potwierdził. Składniki 106 mln USD i 27 mln USD zostały odnotowane w różnych dniach, a analityk stwierdził, że ostateczna kwota może być większa. Argumentował również, że opóźnienie banku w powiadomieniu władz pozwoliło na wypranie ponad 30 mln USD, czyli środków, które europejskie organy mogły zamrozić.

Podejrzana strata zgłoszona 2 listopada106

Kolejne wypłaty zgłoszone 3 listopada27

Łączna zgłoszona suma133

Podejrzana strata zgłoszona 2 listopada

106 mln USD

Kolejne wypłaty zgłoszone 3 listopada

27 mln USD

Łączna zgłoszona suma

133 mln USD

Dane z tekstu artykułu

Stacja BFM podała, że środki zostały przesłane na giełdy kryptowalut i wymienione na stablecoiny, które opisano jako dwie największe na rynku. BFM zauważyło również, że Crédit Mutuel Arkéa jest mniej zaawansowany w dziedzinie kryptowalut niż inne francuskie grupy. W maju grupa złożyła wniosek o europejską autoryzację MiCA w celu oferowania klientom usług kryptowalutowych, co według BFM nadal pozostaje w toku.

Co pozostaje niejasne

Do tej pory nie opublikowano szczegółów dotyczących sposobu przeprowadzenia włamania. Bank nie poinformował, które systemy zostały dotknięte ani jak długo trwały nieautoryzowane transakcje. Podawane liczby opierają się głównie na analizie przeprowadzonej przez badacza, której bank nie poparł. Instytucja nie przedstawiła jeszcze potwierdzonej kwoty.